Hacker pflanzten Backdoor in Linux Core: XZ Utils erlaubt SSH Zugriff
Alarmstufe Rot in der Linux Welt: am 29. März 2024 informierte Andres Freund, ein Entwickler bei PostgreSQL, über eine Backdoor in XZ Utils, die unbefugten SSH-Zugriff ermöglichen kann. XZ Utils, insbesondere die liblzma-Komponente, ist ein essenzielles Werkzeug für die Datenkompression unter Linux, vergleichbar mit gzip und bzip2. Die Entdeckung erfolgte, als Freund ungewöhnliche Symptome in Verbindung mit liblzma auf Debian-Installationen bemerkte, einschließlich hoher CPU-Auslastung und Fehlern beim Login über SSH.
Diese Backdoor CVE-2024-3094 wurde mit einem CVE Score 10/10 bewertet und befand sich nicht im Git-Repository von XZ, sondern ausschließlich in den verteilten Tarball-Archiven der Versionen 5.6.0 und 5.6.1. Eine genauere Untersuchung ergab, dass ein obfuskiertes Skript am Ende des Konfigurationsprozesses eingeschleust wurde, das bei bestimmten Bedingungen Funktionen innerhalb von liblzma modifiziert und so eine Schwachstelle erzeugt, die das Durchbrechen der SSH-Authentifizierung ermöglichen könnte.
Betroffen sind mehrere Linux-Distributionen, darunter Arch Linux, Fedora, Debian (Unstable), openSUSE und Kali Linux (26.3.2024 - 29.3.2024). Die Auswirkungen sind gravierend, da Angreifer unter bestimmten Umständen unberechtigten Zugriff auf Systeme erlangen könnten. Es ist dringend empfohlen, betroffene Versionen zu degradieren und auf sichere Versionen zu aktualisieren.
Die Backdoor zielt speziell auf x86-64-Linux-Systeme ab und wird aktiv, wenn bestimmte Bedingungen erfüllt sind, wie der Einsatz von gcc und dem GNU-Linker oder der Betrieb im Rahmen eines Debian- oder RPM-Paketbuilds. Besonders alarmierend ist die Modifikation von SSHD-Authentifizierungsprozessen, wodurch SSH-Logins verlangsamt werden und potenziell unbefugter Zugriff ermöglicht wird. Das Repository von XZ-Utils wurde in Folge dessen Github gesperrt.
Angesichts der Komplexität und Verstecktheit dieser Backdoor ist anzunehmen, dass ein staatlicher Threat Actor hinter dem Angriff auf die Linux Supply Chain steht. Die Spur führt laut Hacker News zum Github Account von Jigar Kumar JiaT75 dessen Komplizen Larhzu und Hans Jansen. Noch ist nicht klar, wer dahinter steht. Laut einem Bericht von Evan Boehs ist aber es ist davon auszugehen, dass die 3 nicht wie behauptet in Kalifornien sitzen, da deren Aktivität wahrscheinlich zwischen 12-17 Uhr UTC stattfand, was eher für Europa/Asien sprechen würde. Die Folgen sind jedoch so gravierend, dass eine ernste Diskussion über die Sicherheit von Open Source Projekten entbrannt ist. Der Fund war sogar so wichtig, dass sogar die Amerikanische Cybersecurity Behörde CISA eine eine Warnung ausgab. Jeder Linux Administrator, der die oben aufgelisteten Systeme betreibt sollte dringend prüfen, ob die eigenen Systeme betroffen sind.